feat(audit): platform-tools atualizado (12f26fd) e registo de auditoria ligado

- shared/platform-tools: ea3616a → 12f26fd (27 commits). Traz o módulo de
  audit (f761d99, o pin da frota), «manter sessão iniciada», o registo de
  segurança da frota (o gancho que o login já tinha passa a funcionar) e a
  correção do IP do cliente encontrada nesta auditoria (último X-Forwarded-For
  / X-Real-IP), promovida ao partilhado. client_ip() da app delega nele.
- config/functions_audit.php: audit() sobre platform_audit(); tabela
  audit_log criada no primeiro uso, segredos ocultados, nunca parte a ação.
- Registado: login, falha de login, bloqueio por excesso de tentativas,
  logout, pedidos de recuperação, mudança/definição de palavra-passe,
  registo e criação de utilizadores, convites, perfil (antes/depois), todas
  as definições (db_update_setting, com valor anterior), cada passo da
  lixeira (apagar, restaurar, eliminar de vez) e ações nas mensagens.
- Sistema → Auditoria (views/sysadmin/audit.php), só sysadmin.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

config/env.php

@@ -44,31 +44,16 @@ function env(string $key, $default = null) {
     return $v === false ? $default : $v;
 }
 
-// IP do visitante. Em produção o Apache só vê o Nginx Proxy Manager
-// (REMOTE_ADDR = 172.18.0.2 para toda a gente), e o throttle do login contava
-// tudo contra esse IP — cinco falhas de qualquer pessoa bloqueavam todos.
-//
-// Só se confia no proxy quando TRUSTED_PROXY=true E o pedido vem mesmo de uma
-// rede privada. Nesse caso:
-//   - X-Real-IP primeiro: o NPM escreve-o com o $remote_addr que viu, por cima
-//     de qualquer valor que o cliente tenha mandado;
-//   - senão o ÚLTIMO valor do X-Forwarded-For, que é o que o proxy acrescentou.
-//     O primeiro é escrito pelo cliente (o NPM acrescenta, não substitui) e
-//     serve para forjar identidades — o platform_client_ip() partilhado ainda
-//     o usa.
+// IP do visitante — a regra vive no platform-tools (platform_client_ip():
+// X-Real-IP, senão o último X-Forwarded-For, e só vindo do proxy com
+// TRUSTED_PROXY). Em produção o Apache só vê o Nginx Proxy Manager
+// (REMOTE_ADDR = 172.18.0.2 para toda a gente); o throttle do login contava
+// tudo contra esse IP. A correção nasceu aqui e foi promovida ao partilhado
+// (platform-tools 12f26fd), para throttle, audit e IP ban usarem a mesma.
+require_once __DIR__ . '/../shared/platform-tools/functions_client_ip.php';
+
 function client_ip(): string {
-    $remote = (string) ($_SERVER['REMOTE_ADDR'] ?? '');
-    $trusted = filter_var(env('TRUSTED_PROXY', 'false'), FILTER_VALIDATE_BOOLEAN);
-    $fromProxy = $remote !== '' && filter_var($remote, FILTER_VALIDATE_IP)
-        && !filter_var($remote, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE);
-    if ($trusted && $fromProxy) {
-        $real = trim((string) ($_SERVER['HTTP_X_REAL_IP'] ?? ''));
-        if (filter_var($real, FILTER_VALIDATE_IP)) return $real;
-        $xff = array_map('trim', explode(',', (string) ($_SERVER['HTTP_X_FORWARDED_FOR'] ?? '')));
-        $last = end($xff);
-        if ($last !== false && filter_var($last, FILTER_VALIDATE_IP)) return $last;
-    }
-    return $remote !== '' ? $remote : '0.0.0.0';
+    return platform_client_ip() ?? '0.0.0.0';
 }
 
 // True when the current request is HTTPS — including when TLS terminates at a